David Matalon, CEO a zakladatel Venn – Interview Series

David Matalon, CEO a zakladatel Venn, je sériový podnikatel s dlouholetou historií budování bezpečných podnikových technologií, dříve vedl OS33 – jeden z prvních leaderů v oblasti bezpečných pracovních prostorů pro finanční firmy – a External IT, průkopníka v oblasti hostovaných IT služeb. S Venn se zaměřuje na předefinování bezpečnosti vzdálené práce tím, že umožňuje organizacím přijmout modely Bring-Your-Own-Device (BYOD) bez obětu compliance nebo kontroly, využívaje svých hlubokých zkušeností v oblasti cloudové infrastruktury, zabezpečení koncových bodů a regulovaných odvětví, aby řešil rostoucí výzvy distribuovaných pracovních sil.

Venn je kybernetická bezpečnost a platforma pro vzdálenou práci, navržená k zabezpečení firemních dat na osobních a neřízených zařízeních prostřednictvím své patentované technologie Blue Border™, která vytváří bezpečenou, šifrovanou enklávu na uživatelském počítači, kde jsou pracovní aplikace a data izolována od osobních aktivit. Na rozdíl od tradiční virtuální desktop infrastruktury umožňuje Venn aplikacím běžet místně s nativními výkony, zatímco vynucuje přísnou ochranu dat a compliance politiky, pomáhaje organizacím snižovat IT režii, rychle integrovat vzdálené pracovníky a udržovat soukromí oddělením firemního a osobního prostředí na stejném zařízení.

Máte více než dvě desetiletí zkušeností s budováním technologií pro bezpečnou vzdálenou práci, od spuštění Offyx v raných dnech poskytovatelů aplikací až po založení OS33 a nyní Venn. Jaké zkušenosti z těch dřívějších společností vás vedly k vybudování Venn a jak tyto zkušenosti utvořily ideu za Blue Border™ a vaši vizi pro zabezpečení moderních BYOD pracovních sil?

Za posledních dvě desetiletí jsem měl příležitost budovat společnosti v různých fázích evoluce vzdálené práce. V OS33 jsme strávili roky poskytováním bezpečných vzdálených pracovních prostředí prostřednictvím hostované infrastruktury, která používala technologii podobnou virtuální desktop infrastruktuře (VDI). Zatímco bezpečnostní model fungoval, neustále jsme slyšeli stejnou zpětnou vazbu od zákazníků: zkušenost s používáním vzdáleně hostovaných aplikací byla často pomalá, složitá na údržbu a frustrující pro uživatele.

Tato zpětná vazba byla zlomovým bodem. Vzdálené hostování přineslo nevyhnutelnou latenci a vyžadovalo značnou infrastrukturu, což vytvářelo provozní složitost pro IT týmy. Začali jsme klást jednoduchou otázku: co kdybychom mohli úplně odstranit hostování? Místo běhu práce někde jinde a streamování ji uživateli, mohli bychom bezpečně běhat práci místně na uživatelském zařízení, zatímco stále chráníme firemní data?

Tato myšlenka nakonec vedla k Venn a konceptu za Blue Border. Místo vynucování práce prostřednictvím vzdáleného hostování a virtualizace jsme vytvořili nový model, který umožňuje firemním aplikacím běžet místně na uživatelském laptopu, zatímco firemní data zůstávají šifrovaná a chráněná. I na osobním laptopu zůstává práce izolovaná a chráněná od osobních aktivit.

Umělé inteligence se rychle šíří napříč podniky rychleji, než mohou politiky držet krok. Z vašeho pohledu, proč se governance nemůže držet krok s přijetím AI uvnitř organizací?

Governance se nemůže držet krok s přijetím AI, protože technologie se stala každodenním nástrojem téměř přes noc. V posledních letech, od kdy ChatGPT explodoval, zaměstnanci začali používat AI ve svých životech a pracovních postupech. Nečekají na formální schvalovací cykly IT; již používají AI k rychlému psaní, analýze informací, sumarizaci schůzek nebo generování kódu během sekund. Ve většině organizací se tvorba politik, právní přezkum, bezpečnostní validace a nasazení IT děje na mnohem pomalejším časovém horizontu než chování uživatelů. Tato mezera je místem, kde AI governance zaostává.

Hlubší problém spočívá v tom, že mnoho organizací se snaží aplikovat včerejší kontrolní model na dnešní realitu AI. Tradiční governance byla postavena kolem schvalování nebo blokování známého souboru aplikací, ale AI je nyní zabudována v prohlížečích, platformách SaaS a dokonce i v operačních systémech. Governance musí evolucí beyond kontroly předem stanoveného toolsetu a zaměřit se na ochranu dat, kdekoliv se nachází, zabezpečení pracovního prostředí a definici podmínek, za kterých lze citlivé informace používat bezpečně.

Mnohé společnosti se snaží vyřešit problém omezením nebo zákazem generativních nástrojů AI. Proč si myslíte, že tento přístup selhává v praxi, a jaké neúmyslné bezpečnostní rizika může vytvořit?

Zákazy selhávají, protože ignorují realitu, jak lidé pracují. Zaměstnanci najdou způsoby, jak používat nástroje AI bez ohledu na oficiální schválení. To vytváří stínové AI, nebo neautorizované použití nástrojů, osobních účtů, workflow kopírování a vkládání, a prohlížečových interakcí, které se mohou odehrávat mimo schválený dohled. Společnost pak ztrácí přehled, vystavuje svá citlivá data riziku.

V mnoha případech mohou restriktivní politiky zvýšit riziko spíše než je snížit. Když zaměstnanci nemohou používat tyto nástroje bezpečně, často najdou způsoby, jak je obejít. Citlivá firemní data mohou skončit v nástrojích, které IT nebo bezpečnostní týmy nekontrolují nebo nezajišťují. Lepší přístup není zákaz pro samotný účel, ale umožnění bezpečného použití prostřednictvím izolace, kontrol dat a jasných mantinelů, které umožňují firmě postupovat bez ohrožení kritických informací.

Schopnosti AI jsou stále více zabudovány přímo do každodenních aplikací, spíše než existují jako samostatné nástroje. Jak tato změna mění způsob, jakým by měly bezpečnostní týmy přemýšlet o monitorování a kontrole expozice dat?

Tato změna je významná, protože rozbitá stará mentální model “rizikové aplikace versus schválené aplikace”. Pokud je AI zabudována do e-mailu, CRM, konferenčního softwaru, editace dokumentů a vyhledávání, pak expozice dat již není spojena s tím, zda uživatel otevře samostatný nástroj AI. Je spojena s tím, jaké údaje jsou dostupné uvnitř aplikace, jaký kontext AI může vidět, a zda tato interakce probíhá uvnitř zabezpečeného pracovního prostoru.

V důsledku toho musí bezpečnostní týmy zaměřit se na ochranu dat, spíše než na úplné uzamčení zařízení. Zaměření by mělo být na izolaci pracovních relací, kontrolu kopírování a stahování, kde je to vhodné, prevenci úniku napříč osobními a firemními kontexty a zajištění, že citlivé informace zůstávají uvnitř chráněného prostředí.

Technologie Blue Border™ od Venn izoluje pracovní aplikace a data místně na uživatelském zařízení, místo aby se spoléhala na tradiční virtuální desktop infrastrukturu. Jak tato architektura fundamentálně mění model koncové bezpečnosti pro vzdálenou práci?

Blue Border fundamentálně mění model koncové bezpečnosti, když jde beyond myšlenky, že bezpečnost vyžaduje buď úplnou kontrolu nad zařízením, nebo virtualizovaný desktop. Tradiční VDI zabezpečuje práci hostováním ji vzdáleně a streamováním ji uživateli. Blue Border zabezpečuje práci přímo na uživatelském zařízení, vytváří IT-řízenou zabezpečenou enklávu, kde běží firemní aplikace, a firemní data zůstávají šifrovaná a chráněná.

Výsledkem je jiný bezpečnostní model pro vzdálenou práci, kde společnosti mohou vynucovat ochranu kolem samotné práce, aniž by musely vydávat firemní zařízení nebo nutit uživatele pracovat s latentními a zpožděnými vzdáleně hostovanými desktoopy.

Z hlediska bezpečnostní architektury se model posouvá od kontroly celého koncového bodu nebo centralizovaných bezpečnostních protokolů k ochraně pracovního prostoru samotného, kde se nachází. Blue Border zajišťuje, že citlivá data nikdy neopouští chráněné, místní prostředí, a vynucuje politiku uvnitř této hranice. Předchází úniku na osobní stranu zařízení. Jako výsledek, uživatelé mohou využívat nativní výpočetní a aplikativní výkon, a mohou používat osobní zařízení z jakéhokoliv místa na světě, namísto povinného firemního zařízení.

Mnohé organizace bojují s vyvážením zaměstnaneckého soukromí a firemního dohledu, když zaměstnanci používají osobní zařízení. Jak mohou bezpečnostní týmy chránit citlivá data, aniž by vytvářely dojem dohledu?

Klíč je chránit práci, ne osobní aktivitu. Zaměstnanci jsou pochopitelně neklidní, když bezpečnostní opatření mohou zasahovat do jejich soukromých souborů, zpráv, historie prohlížeče nebo osobních aplikací. Na zařízení BYOD záleží důvěra. Pokud společnost nemůže jasně vysvětlit, kde začíná a končí její viditelnost, zaměstnanci předpokládají nejhorší.

Silnější model je ten, který vytváří oddělený pracovní prostor pro obchodní aktivitu a aplikuje bezpečnostní kontroly pouze uvnitř této hranice. To dává organizaci schopnost chránit firemní data, zatímco zaměstnancům dává jistotu, že jejich osobní aktivita není sledována nebo řízena. Soukromí a bezpečnost nemusí být v konfliktu, pokud je architektura navržena tak, aby je jasně oddělovala.

Vzdálená práce a týmy na základě smluv činí prostředí BYOD téměř nevyhnutelnými. Jaká jsou největší bezpečnostní rizika spojená s neřízenými zařízeními dnes?

Největší riziko spočívá v tom, že neřízená zařízení vymazávají hranici mezi osobními a firemními aktivitami. Na stejném stroji může uživatel mít otevřené firemní aplikace vedle osobních e-mailů, spotřebitelských nástrojů AI, aplikací pro sdílení souborů a nedůvěryhodných prohlížečových rozšíření. Bez bezpečnostní separační vrstvy je velmi snadné, aby citlivá data byla zkopírována, uložena do mezipaměti, stažena, zachycena na snímku obrazovky nebo vystavena kanálům, které společnost nekontroluje. Pro organizace, které podléhají regulacím kolem zabezpečení dat, je to enorme riziko.

Agenti umělé inteligence a automatizované workflow začínají interagovat přímo s podnikovými aplikacemi a daty. Jaká nová bezpečnostní rizika tato autonomní systémy představují?

Autonomní systémy představují jinou třídu rizika, protože ne pouze generují obsah, ale také mohou jednat. AI agenti spojení s podnikovými systémy mohou načítat nebo přesouvat data, aktualizovat záznamy, spouštět workflow nebo komunikovat externě. To rozšiřuje dopad chyby, nesprávné konfigurace nebo kompromitované identity výrazně beyond toho, co vidíme u pasivních AI asistentů.

Také vytváří nové otázky kolem přístupu, důvěry a odpovědnosti. Jaká data je agentovi povoleno přístup? Za jakých podmínek může jednat? Jak je tato aktivita logována, omezena a přezkoumána? IT a bezpečnostní týmy budou muset pohlížet na AI agenty méně jako na softwarové funkce a více jako na privilegované digitální aktéry. To znamená aplikovat principy, jako je minimální privilegium, segmentace, izolace relace a silná auditovatelnost od začátku.

Jak se organizace začínají integrovat generativní umělou inteligenci do nástrojů produktivity, systémů zákaznické podpory a interních workflow, jaká citlivá data expozice vás nejvíce znepokojují?

Používání generativní AI v pracovním prostředí rozostřilo hranici mezi osobními a firemními daty. Zaměstnanci často přistupují k externím nástrojům, zatímco pracují s firemními informacemi, což činí velmi snadným, aby citlivá data, jako jsou zákaznické záznamy, interní dokumenty, zdrojový kód nebo finanční informace, unikla do externích prostředí. Když firemní data protékají osobními kontexty nebo neřízenými zařízeními, společnosti ztrácí přehled a kontrolu nad tím, kam tato informace jde, jak je uložena a kdo k ní nakonec přistupuje. Jakmile se AI stane zabudovanou do každodenních workflow, organizace potřebují řešit tuto rozostřenou hranici přímo, zajišťujíce, že firemní data zůstávají chráněná, i když práce probíhá na osobních zařízeních.

Pohledem do budoucnosti, jak vidíte vývoj koncové bezpečnosti, když se AI-poháněné workflow stanou více obvyklými napříč distribuovanými a vzdálenými pracovními silami?

Koncová bezpečnost bude muset být mnohem více adaptivní, kontextově vědomá a zaměřená na pracovní prostor. V minulosti design koncové bezpečnosti předpokládal řízené zařízení, definovaný firemní perimetr a relativně stabilní sadu podnikových aplikací. Budoucnost je distribuovaná, AI-poháněná a stále více autonomní. Bezpečnost musí následovat samotnou práci, kdekoliv se odehrává, bez předpokladu úplné kontroly nad zařízením nebo blokování produktivity.

Vítězný model bude ten, který kombinuje silnou separaci mezi zařízením a citlivými daty, kontextově vědomé přístupové kontroly a architekturu, která zachovává jasnou hranici mezi prací a osobními aktivitami. Organizace potřebují prostředí, kde mohou zaměstnanci, dodavatelé a AI-poháněné workflow pracovat produktivně, ale uvnitř kontrol, které chrání data podle designu. Společnosti, které uspějí, nebudou ty, které se snaží zpomalit přijetí AI, ale ty, které umožňují bezpečné přijetí ve velkém měřítku.

Děkujeme za skvělý rozhovor, čtenáři, kteří si chtějí dozvědět více, by měli navštívit Venn.